El contrato SaaS: particularidades jurídicas del software como servicio
El modelo de negocio SaaS (Software as a Service) ha cambiado radicalmente la naturaleza jurídica de la contratación de software: en lugar de adquirir una licencia perpetua del programa, el cliente contrata el acceso al servicio en la nube durante el tiempo que paga la suscripción. Este cambio tiene consecuencias jurídicas relevantes que el contrato debe abordar específicamente: la propiedad y portabilidad de los datos del cliente, los niveles de servicio (SLA) y las consecuencias del incumplimiento, las condiciones de escalabilidad del servicio, y el régimen aplicable al finalizar el contrato (derecho a exportar los datos, período de transición).
Los SLA: niveles de servicio que el proveedor debe garantizar
El Service Level Agreement (SLA) es el anexo más importante del contrato SaaS para el cliente empresa: define el porcentaje de disponibilidad garantizado (habitualmente el 99,5% o el 99,9% mensual), el tiempo máximo de respuesta ante incidencias según su criticidad, las consecuencias del incumplimiento del SLA (créditos de servicio, resolución del contrato) y las exclusiones del cómputo de disponibilidad (mantenimientos programados, causas de fuerza mayor). Un SLA del 99,5% implica que el servicio puede estar caído hasta 3,6 horas al mes sin consecuencias para el proveedor.
Propiedad de los datos y portabilidad al finalizar el contrato
Uno de los riesgos más frecuentes en la contratación SaaS es quedar atrapado con un proveedor porque los datos están en un formato propietario que no permite la migración. El contrato debe incluir expresamente: (1) que los datos del cliente son siempre de su propiedad; (2) el proveedor tiene solo un derecho de uso limitado al objeto del contrato; (3) al finalizar el contrato, el proveedor debe proporcionar al cliente una exportación completa de sus datos en un formato estándar (CSV, JSON, XML) en un plazo determinado; y (4) el proveedor debe eliminar todos los datos del cliente en un plazo máximo tras la exportación.
El régimen del RGPD en los contratos SaaS
Cuando el proveedor SaaS trata datos personales del cliente (datos de empleados, clientes o usuarios de la plataforma), actúa como encargado del tratamiento bajo el RGPD. Esto exige la firma de un contrato de encargo del tratamiento (DPA, Data Processing Agreement) que debe especificar: el objeto y duración del tratamiento, la naturaleza y finalidad del tratamiento, el tipo de datos personales y las categorías de interesados, y las obligaciones y derechos del responsable. La ausencia de DPA es una infracción del RGPD sancionable tanto para el proveedor como para el cliente. En DirectorJuridico.es redactamos contratos SaaS y DPA adaptados al derecho español coordinados con LRB Tax & Legal, expertos en derecho digital y contratación tecnológica. Contacto: Contacto@LRB.es / +34 684 234 831.